😱 CARBANAK e il caso DELLE CHIAVETTE USB

Nella seconda metà del 2021 diverse aziende statunitensi ricevono un pacco all'apparenza normalissimo. Veniva recapitato dalle poste oppure da un corriere e visto da fuori sembrava non avere nulla di strano. Il contenuto era diverso a seconda dei casi. Alcuni ricevevano una lettera che sembrava arrivare dal Dipartimento della Salute americano, con tanto di indicazioni e linee guida anti-COVID. Altri ricevevano una scatola regalo decorata che sembrava provenire da un cliente riconoscente., con dentro quindi un bigliettino di ringraziamento e una gift card di Amazon, mentre altri ancora ricevevano un orsacchiotto di peluche. Anche se il contenuto dei singoli pacchetti era diverso, tutti contenevano anche una chiavetta USB infetta. Le aziende che malauguratamente decidevano di verificare il contenuto della chiavetta infilandola in un computer si trovavano immediatamente hackerate, con malintenzionati che entravano nella rete aziendale, bloccavano i dispositivi e richiedevano un riscatto. Opure rubavano informazioni riservate. La situazione peggiora rapidamente, tanto che all'inizio del 2022 interviene addirittura l'FBI nel tentativo di fermare questo gruppo apparentemente inarrestabile. Ma come sempre, per capire bene com'è andata, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Oggi parliamo del caso Fin7. Per approfondire l'argomento di cui abbiamo parlato la scorsa settimana, riassumibile con: non infilate nel vostro computer o nel vostro telefono cavetti e chiavette che non conoscete. Ma andiamo con ordine. La nostra storia inizia nel 2020, quando parte la prima ondata di questi attacchi con modalità molto simili in realtà a quelle descritte nell'introduzione del video, quindi riferite poi al 2021. A febbraio 2020 le aziende statunitensi iniziano a ricevere pacchi apparentemente provenienti da Best Buy, una grande catena di elettronica molto famosa in America. Questo pacco conteneva dei finti buoni per l'acquisto di materiale elettronico, con una chiavetta USB e un biglietto che diceva che per consultare l'elenco completo dei prodotti su cui spendere il buono fedeltà bastava inserire la chiavetta dentro al computer e aprire un file. Uno di questi pacchi arriva a un'azienda che si era affidata poco tempo prima a una società di sicurezza informatica di nome Trustwave. Ricevuto questo pacco, all'azienda viene il dubbio che forse potrebbe trattarsi di qualcosa di malevolo. Quindi consegna tutto a Trustwave, che apre la chiavetta in un ambiente sicuro e protetto in modo da poterla analizzare con calma, scoprendo ben presto che non si trattava di una normale chiavetta di memoria, ma di un dispositivo programmato per sembrare una cosa diversa. In sostanza, quando veniva collegata a un computer, il sistema chiedeva alla chiavetta: chi sei? E mentre una chiavetta normale risponde: sono una memoria, contengo dei file, Questa chiavetta rispondeva una cosa diversa, cioè diceva: "Sono una tastiera." Il computer non aveva motivo di dubitarne, perché la tastiera è una classica cosa che viene collegata a un computer, e anzi è il dispositivo di cui il sistema si fida di più in assoluto. Se noi premiamo un tasto, non è che il computer ci dice: "No, questa cosa non la puoi scrivere." Tutto quello che digitiamo viene accettato di default, e quindi il computer accetta anche quello che questa finta tastiera gli manda, perché non è in grado di capire che non è una vera tastiera. Dentro alla chiavetta era stata inserita una sequenza di comandi già pronta che fa una cosa sola nel giro di pochi secondi: apre il terminale del computer e digita un comando per collegarsi a un server e scaricare un programma malevolo. A quel punto la chiavetta ha già esaurito il suo compito e potrebbe pure finire dimenticata in un cassetto, perché il programma malevolo vero e proprio è stato installato grazie a quel comando e permette ai malintenzionati di entrare nel computer quando vogliono, perché il programma malevolo conteneva una backdoor, una porta sul retro, sostanzialmente un ingresso che i malintenzionati potevano sfruttare quando volevano. Da lì gli attaccanti si spostano dal singolo computer infettato verso il resto della rete aziendale, cercando gli account con più privilegi e tentando di accedere ai sistemi più critici per l'azienda. Poi, nel momento in cui riescono ad arrivarci, bloccano tutto e chiedono un riscatto. I bersagli di questo primo attacco erano soprattutto alberghi, ristoranti e negozi di commercial dettaglio. E in moltissimi cascano nella trappola, perché era davvero ben congegnata. La faccenda diventa talmente grave che nello stesso anno, quindi nel 2020, l'FBI dirama un primo avviso pubblico per mettere in guardia le aziende americane. Avviso che in realtà, come vedremo, sarebbe servito a poco. Piano piano comunque questo attacco si esaurisce da solo. Le aziende smettono di infilare le chiavette nei computer e i malintenzionati smettono quindi di inviare questi pack. Iniziando invece a ragionare su come perfezionare la tecnica per farla funzionare meglio. A distanza di un anno il copione ritorna, questa volta molto più ambizioso. A partire dall'agosto del 2021 i pacchi ricominciano ad arrivare, ma i bersagli non sono più ristoranti, alberghi, bensì le aziende che lavorano nei settori dei trasporti, delle assicurazioni e anche della difesa. Quindi stiamo parlando di realtà che lavorano con dati riservati e che hanno contratti governativi. Cambia anche la modalità di invio di questi pacchi che contengono sempre la chiavetta USB infetta, ma non fingono più di arrivare da Best Buy. Appaiono invece provenienti o da Amazon, come se fosse un regalo inviato da qualcuno, normalmente appunto un orsacchiotto di peluche o una gift card, oppure sembrano provenire dal Dipartimento della Salute, come se fosse una comunicazione sulle regole anti-COVID. Inoltre, in questa seconda ondata di attacchi, i malintenzionati non si limitano a inviare le chiavette USB e a incrociare le dita sperando che alcuno le infili nei computer, ma sono molto più scaltri. Se vedono che dopo un tot di tempo non hanno ancora ottenuto l'accesso ai sistemi di un'azienda a cui avevano inviato un pacco, la chiamano o scrivono una mail fingendosi dell'assistenza clienti e spingendo il destinatario a usare la chiavetta. Per il resto l'attacco è più o meno identico: la chiavetta si finge una tastiera, scarica un programma malevolo che serve ai malintenzionati a entrare nel computer, e loro, una volta entrati, si spostano nel sistema finché non riescono a bloccare tutto con un ransomware, quindi a rendere illeggibili tutti i file della rete aziendale e a chiedere alla vittima di pagare un riscatto per riaverli indietro. Anche questa seconda ondata di attacchi raggiunge in breve tempo un clamore tale che l'FBI è costretto a diramare una nuova allerta urgente. In tutto questo, mentre parlavo, Imo ha ben deciso di buttarsi di nuovo per terra e non solo, si è tolto in qualche modo le cuffie. Volevo tenerlo così ed esporlo al pubblico ludibrio, ma visto che le sue cuffie sono carine, gliele rimetto. Dai, ecco qua, tornato sano e salvo. Certo che se continua così non sarà sano e salvo ancora per molto. Fai il bravo. Torniamo alla nostra storia. In tutto questo, chiaramente, le forze dell'ordine stavano cercando di capire chi fossero i responsabili di questi attacchi, così semplici da un punto di vista dell'esecuzione, ma allo stesso tempo così sofisticati. Quello che gli inquirenti hanno in mano di fatto sono soltanto le chiavette, quindi partono da lì e fanno quello che a suo tempo aveva fatto l'azienda di sicurezza Trustwave, cioè le smontano e cercano di capire se i malintenzionati hanno lasciato qualche traccia. E in effetti qualche traccia viene trovata, come il codice di fabbricazione tipico di una certa famiglia di schede elettroniche e l'indirizzo del server a cui la chiavetta si collegava per scaricare il malware. Più si va avanti nelle indagini, più gli indizi puntano nella stessa direzione. I programmi scaricati dalle chiavette sono gli stessi già incontrati in altre operazioni note agli analisti. Il modo di muoversi dentro le reti ricalca uno schema riconoscibile, quasi una firma potremmo dire, e anche lo stile delle lettere inviate assomiglia a quello di certe mail truffa che un gruppo di criminali molto noto usa da anni. Piano piano sia l'FBI sia diverse società di sicurezza, lavorando in parallelo, arrivano allo stesso nome, un nome che gli addetti ai lavori conoscevano fin troppo bene. Ovvero FIN7, anche noto come Carbanak. Prima di mettersi a spedire orsacchiotti di peluche, questo gruppo, un gruppo di criminali russofono attivo almeno dal 2015, si era fatto le ossa rubando i soldi direttamente alle banche. Da lì il nome FIN7, dove FIN sta per financial, proprio perché inizialmente si rivolgevano al settore finanziario. Carbanak aveva trovato il modo di entrare nelle reti interne degli istituti di credito, dove stava per qualche mese per studiarle a fondo. Poi, a seconda della situazione, colpiva in modi diversi. In alcuni casi il gruppo gonfiava il saldo di un conto, trasformando per esempio un deposito da 1000 in uno da 10.000 e intascando la differenza. In altri dava istruzioni agli sportelli automatici perché a un'ora prestabilita cominciassero a sputare contanti, con un complice che aspettava davanti alla macchina al momento giusto per raccogliere le banconote. Pensate che durante i periodi dei furti in banca riescono a racimolare circa un miliardo di dollari. Chiuso il capitolo banche, anche perché nel frattempo erano state implementate delle misure di sicurezza, quindi non era insomma più così facile fare questo tipo di attività, il gruppo si specializza nel furto di carte di credito, studiando in particolare il mondo dei ristoranti. Per chi non lo sapesse, quando paghiamo qualcosa con il bancomat, il POS per una frazione di secondo legge i dati della carta e li tiene in memoria prima di mandarli alla banca. Karbanak aveva imparato a infettare i terminali usati nei ristoranti con software che approfittava proprio di quell'istante in cui il terminale leggeva i dati della carta per copiare di nascosto le informazioni e spedirle ai server del gruppo, che quindi riusciva a mettere le mani su tantissime carte di credito e di debito usate poi per compiere altre truffe o rubare semplicemente dei soldi. In totale riescono a rubare oltre 20 milioni di carte di credito e a infettare con il loro malware più di 6.500 terminali, compresi quelli di grandi catene di fast food. Quindi non solo ristorantini di provincia. Ovviamente per fare tutte queste cose avevano bisogno di personale, e per raccoglierlo avevano creato una finta società di sicurezza informatica chiamata Combi Security, con tanto di sito che si presentava come un'azienda di penetration testing, cioè di quelle pagate per attaccare i sistemi dei clienti e trovarne i punti deboli prima dei criminali. Come tocco di classe, e qui veramente chapeau, nel sito erano elencati come clienti della società anche delle aziende americane italiani. Salvo che quelle aziende non erano clienti paganti, ma erano in realtà le vittime dei loro attacchi. So che non dovrei ridere, ma mi fa troppo ridere l'idea che qualcuno dica: sì, abbiamo fatto un penetration test su questa azienda, ma in realtà l'hanno fatto semplicemente per attaccarla e per rubarle dei soldi. Hanno veramente una faccia tosta invidiabile, questo bisogna riconoscerlo. Tramite il sito e i social entravano in contatto con vari esperti di sicurezza informatica e li assumevano per fare apparentemente dei normali penetration test. Dicevano ad esempio: guarda, abbiamo il contratto questa azienda che ci chiede di provare a entrare nel loro sistema e a cifrare i file con un ransomware. Il dipendente eseguiva, faceva un report delle vulnerabilità trovate e il suo lavoro finiva lì. Quindi poteva tranquillamente continuare a lavorare senza nemmeno accorgersi di aver commesso un crimine. E magari qui potreste chiedermi: scusa, ma comunque infettare i sistemi di un'azienda con un ransomware rimane un reato. Quindi anche se uno lo fa, diciamo, a fin di bene, rimane un reato. In realtà in Italia, ma vale lo stesso anche all'estero, se l'azienda stessa a chiedertelo perché ha un motivo, diciamo, vuole testare la sicurezza delle proprie aziende, dei propri sistemi, allora chiaramente il reato non si configura. Ed è questo che faceva questa finta società, questa Combi Security, cioè diceva: noi siamo stati assunti per fare questo lavoro, per poi farlo fare a dei penetration tester esperti assunti apparentemente normalmente. Il gruppo fin dai primi reati era stato oggetto di indagini e alcune di queste erano andate a segno. Nel 2018 le autorità americane insieme alle polizie europee avevano arrestato alcune figure chiave in vari paesi d'Europa come Spagna, Germania, Polonia e così via. Persone che verranno poi condannate tutte alla reclusione, chi per 5 anni, chi per 7, chi per 10. Nel 2023 un procuratore federale americano dichiara solennemente che il gruppo Fin7 alias Karbanak non esiste più perché i capi sono stati tutti condannati e adesso stanno marcendo in carcere. Una frase che invecchia malissimo perché proprio in quel momento le indagini stavano piano piano arrivando alla conclusione che dietro al grande attacco delle chiavette c'era proprio il gruppo Karbanak. Tra l'altro, nel mondo della sicurezza informatica si sa benissimo che questi gruppi sono un po' come l'Idra di Lerna. E qui viene fuori il momento super quark. L'Idra di Lerna nella mitologia greca era quell'essere terribile a cui potevi tagliare una testa, ne aveva tante, aveva tante teste di serpente, potevi tagliargliene una e al posto della testa ne sarebbero ricresciute altre due. Questi gruppi sono esattamente così, possono cambiare modalità nome, membri, ma raramente il crimine viene stirpato. Quindi dire ok, il gruppo non esiste più, è un'affermazione un po' priva di senso. Magari non esistono più quelle persone dentro al gruppo, magari il gruppo ha cambiato nome, magari il gruppo ha cambiato modalità, ma in realtà prima o poi tornerà fuori con un altro nome o verrà inglobato in un altro gruppo criminale, e quindi andranno avanti anche questi crimini. Tra l'altro, pochi mesi dopo questa dichiarazione, Karbanak fa partire una nuova ondata di attacchi registrando indirizzi quasi utenti c'è a siti famosi come Microsoft e Netflix e rubando credenziali agli utenti. Nel settore automobilistico continuano a usare la tecnica delle chiavette inviate per posta, dotate questa volta anche di un programma che serviva a neutralizzare gli antivirus installati sui computer aziendali. Oltretutto, visto che questo programmino funzionava bene, dato che ci sono, ne approfittano per venderlo anche ad altri malintenzionati su dei forum clandestini. Quindi insomma, mi sembra che fossero ben lontani dall'essersi fermati. Tornando al discorso delle chiavette, Come dicevo, le indagini svolte dall'FBI, anche in collaborazione con società di sicurezza e altre forze dell'ordine, proseguono. Gli indizi fanno capire che con tutta probabilità dietro c'è proprio il gruppo Karbanak. Quindi cosa succede? Parte un blitz esagerato, vengono arrestate mille persone, il gruppo finalmente chiude davvero per sempre? In realtà no, semplicemente il gruppo si stufa di usare la tecnica delle chiavette perché con gli avvisi dell'FBI il trucco non funzionava più così bene come prima, e passano ad Le aziende colpite si leccano le ferite e vanno avanti. Quindi niente, questa storia ha un anticlimax pazzesco, proprio la suspense demolita. Va detto che il gruppo è davvero molto bravo. È vero che sono dei criminali, ma va detto che sanno quello che fanno. Appena sospettano che ci sia una possibilità di essere beccati, cambiano immediatamente tattica: luoghi da cui si collegano, dispositivi, indirizzi IP. Insomma, dopo che alcuni membri chiave erano stati arrestati nel 2018, hanno imparato la lezione e sono diventati più sgamati. Va detto poi che tutti i vari indizi che sono stati raccolti, presi insieme, fanno capire che con tutta probabilità dietro all'attacco delle chiavette USB c'è il gruppo Karbanak. Però la certezza non ce l'abbiamo. Non è mai stato fermato qualcuno che ha confessato di essere membro del gruppo e che avevano compiuto questo tipo di attacco, né sono state raccolte prove schiaccianti. Siamo nel campo delle ipotesi, magari certo ipotesi molto vicine alla verità, ma comunque rimane che una certezza non ce l'abbiamo. Detto questo, visto che non possiamo avere un finale di storia soddisfacente, portiamoci a casa almeno un insegnamento, che è quello di non infilare mai chiavette USB che non conosciamo dentro al nostro computer, a prescindere che ci arrivino per posta o che le troviamo in giro. La curiosità può essere alta, sicuramente, ma i rischi lo sono molto di più. Parlo di chiavette, ma la stessa cosa vale per schede SD, hard disk, cavi strani e via dicendo. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già questo gruppo e cosa ne pensate. Noi ci vediamo la prossima settimana con il video dedicato al fenomeno dello Shadow IT. A presto!